Ese pequeño cuadrado puede abrir el menú de un restaurante, permitirnos realizar un pago o llevarnos a una página falsa. El problema no está en el código: está en lo que puede ocultarse detrás.

Los códigos QR se volvieron parte de nuestra vida cotidiana.

Los encontramos en restaurantes, negocios, carteles, facturas, estacionamientos, entradas para eventos, trámites y medios de pago.

Apuntamos la cámara del celular, aparece un enlace y lo abrimos casi sin pensarlo.

Y ahí está precisamente el problema.

Cuando recibimos un enlace escrito podemos observar la dirección antes de pulsarlo. En cambio, frente a un código QR, el destino permanece oculto hasta que lo escaneamos.

Los estafadores lo saben.

Por eso comenzaron a utilizar códigos falsos para dirigir a las personas hacia páginas preparadas para robar contraseñas, datos bancarios o dinero.

La modalidad se conoce como quishing: una combinación entre código QR y phishing.

🎣 ¿Qué es el quishing?

El phishing tradicional suele llegar mediante un correo electrónico, un mensaje de texto o una publicación que intenta convencernos de abrir un enlace falso.

El quishing utiliza la misma estrategia, pero esconde ese enlace dentro de un código QR.

Al escanearlo podemos terminar en una página que imita:

🏦 el sitio de un banco;

📦 una empresa de correo o paquetería;

💳 una plataforma de pagos;

🏛️ un organismo público;

📧 un servicio de correo electrónico;

🛒 una tienda conocida;

🚗 un sistema de estacionamiento;

📱 o la pantalla de inicio de sesión de una red social.

La página puede parecer auténtica. Puede tener el logotipo correcto, colores similares y hasta mensajes de seguridad.

Pero todo lo que escribamos allí irá directamente al estafador.

La Comisión Federal de Comercio de Estados Unidos advierte que estos códigos pueden conducir a sitios falsificados para robar la información ingresada y, en algunos casos, intentar descargar programas maliciosos en el dispositivo.

🕵️ El código no necesita parecer sospechoso

Un QR fraudulento no tiene ojos rojos, calaveras ni un cartel que diga:

“Escaneame, vengo a vaciarte la cuenta”.

Visualmente puede ser idéntico a cualquier otro.

Incluso puede colocarse encima de un código verdadero.

El FBI advierte que los delincuentes pueden pegar sus propios QR sobre códigos legítimos ubicados en restaurantes, anuncios, folletos y otros espacios públicos. También recomienda desconfiar cuando el código parece haber sido manipulado o cubierto por una etiqueta.

Por eso, el peligro no siempre está en una página extraña de internet.

Puede estar pegado en una mesa, una pared, un parquímetro o una factura.

📍 ¿Dónde pueden aparecer los QR falsos?

🚗 Estacionamientos y parquímetros

Un delincuente puede colocar una pegatina sobre el código utilizado para pagar el estacionamiento.

La persona escanea, ingresa los datos de su tarjeta y cree que realizó el pago.

En realidad, entregó la información en una página falsa.

La FTC informó sobre casos de códigos fraudulentos colocados encima de QR legítimos en parquímetros.

📦 Paquetes que nunca pedimos

También pueden llegar dentro de un paquete inesperado.

El mensaje puede decir:

“Escanee el código para saber quién envió este regalo”.

O quizás:

“Escanee para devolver el producto”.

En 2025, el FBI alertó sobre paquetes sin remitente que incluían códigos QR diseñados para despertar la curiosidad del destinatario. Al escanearlos, las víctimas podían ser dirigidas a páginas que solicitaban datos personales o financieros, o que intentaban instalar software malicioso.

La curiosidad es humana.

Y los estafadores trabajan bastante bien con material humano.

📩 Correos electrónicos y mensajes de texto

El mensaje puede afirmar que:

📦 no pudieron entregar un paquete;

🔐 alguien ingresó en nuestra cuenta;

💳 existe un pago pendiente;

🏦 debemos verificar una operación bancaria;

🎁 ganamos un premio;

⚠️ o nuestra contraseña está por vencer.

En todos los casos aparece el mismo ingrediente: la urgencia.

Nos piden escanear inmediatamente para evitar una multa, el cierre de una cuenta o la pérdida de un beneficio.

La FTC explica que estos mensajes buscan impedir que la persona se detenga a pensar y recomienda verificar la situación mediante una página o teléfono que sepamos que pertenece realmente a la empresa.

🚨 Multas y supuestas infracciones

En abril de 2026, la FTC informó un aumento de mensajes falsos que simulaban ser notificaciones oficiales por infracciones de tránsito.

Los mensajes incluían un supuesto número de expediente, una fecha de audiencia y un QR para pagar antes de sufrir consecuencias legales.

Todo era falso.

El objetivo era obtener datos personales, números de tarjeta o instalar programas maliciosos en el teléfono.

La estrategia es sencilla:

Primero asustar.

Después apurar.

Y recién al final cobrar.

🧠 ¿Por qué caemos?

Los códigos QR cuentan con una ventaja psicológica importante: nos acostumbramos a utilizarlos.

Escaneamos uno para ver un menú.

Otro para conectarnos a una red Wi-Fi.

Otro para pagar.

Otro para completar un formulario.

La acción se vuelve automática.

Además, el QR oculta la dirección real. No sabemos hacia dónde nos conduce hasta que el celular lo interpreta.

El delincuente aprovecha tres factores:

👀 Ocultamiento: el enlace no está visible a simple vista.

⏰ Urgencia: debemos actuar antes de que ocurra algo malo.

🎭 Suplantación: la página parece pertenecer a una empresa conocida.

El problema no es solamente tecnológico.

Es una maniobra de manipulación.

🔍 El examen INFOX de los cinco segundos

Antes de abrir un código QR, conviene detenerse y responder cinco preguntas.

1. ¿Esperaba recibir este código?

Si llegó en un mensaje inesperado, un paquete desconocido o un correo extraño, la primera respuesta debería ser la desconfianza.

2. ¿Parece pegado encima de otro?

Observá si existe una etiqueta, un borde levantado, una impresión de diferente calidad o señales de manipulación.

En un restaurante, comercio o estacionamiento, se puede consultar al personal antes de utilizarlo.

3. ¿El celular muestra la dirección antes de abrirla?

La mayoría de las cámaras actuales presenta una vista previa del enlace.

No la abras de inmediato.

Leé el nombre del dominio y buscá:

❌ letras cambiadas;

❌ palabras agregadas;

❌ errores ortográficos;

❌ dominios extraños;

❌ direcciones acortadas que ocultan el destino.

La FTC recomienda comprobar que la dirección coincida realmente con la empresa y prestar atención a letras sustituidas o errores diseñados para pasar inadvertidos.

4. ¿Puedo ingresar por otro camino?

Si el QR dice pertenecer a un banco, una empresa de servicios o un organismo público, no hace falta continuar desde allí.

Podemos cerrar la cámara y entrar mediante:

✅ la aplicación oficial;

✅ la dirección que ya conocemos;

✅ un marcador guardado;

✅ o un número de teléfono obtenido por nuestra cuenta.

Nunca conviene utilizar los datos de contacto incluidos en el mismo mensaje sospechoso.

5. ¿Me están apurando?

Las frases más peligrosas suelen ser:

⚠️ “Último aviso”.

⚠️ “Pague ahora”.

⚠️ “Su cuenta será suspendida”.

⚠️ “Confirme sus datos inmediatamente”.

⚠️ “Evite acciones legales”.

La urgencia no demuestra que el mensaje sea verdadero.

Muchas veces demuestra exactamente lo contrario.

🛡️ Medidas sencillas para protegernos

📱 Mantener actualizado el celular

Las actualizaciones del sistema operativo y de las aplicaciones corrigen fallas de seguridad que podrían ser utilizadas por programas maliciosos.

La FTC recomienda mantener actualizado el teléfono y activar las actualizaciones automáticas cuando sea posible.

🔐 Activar la autenticación en dos pasos

Si una contraseña cae en manos equivocadas, el segundo factor puede impedir el acceso inmediato a la cuenta.

No vuelve invencible al usuario, pero agrega una barrera importante.

🏪 Descargar aplicaciones únicamente desde la tienda oficial

Un QR puede indicar que necesitamos instalar una aplicación especial para pagar, verificar una cuenta o leer un documento.

No la descarguemos desde el enlace.

Busquemos la aplicación por nuestra cuenta en la tienda oficial del sistema.

💳 Desconfiar de pagos improvisados

Si alguien exige pagar mediante un QR enviado por mensaje, especialmente con criptomonedas, tarjetas de regalo o transferencias urgentes, conviene detener la operación.

Los estafadores suelen utilizar formas de pago difíciles de recuperar una vez enviadas.

🚑 ¿Qué hago si ya escaneé el código?

Escanearlo no significa automáticamente que nos hayan robado.

La gravedad depende de lo que hicimos después.

🟢 Solo abrí la página

Cerrala.

No descargues archivos.

No aceptes permisos.

No completes formularios.

Ingresá al servicio desde su aplicación o página oficial para comprobar si realmente existe algún problema.

🟡 Ingresé mi usuario y contraseña

Cambiá inmediatamente la contraseña desde la página oficial.

Si utilizabas la misma clave en otros servicios, también deberás cambiarla allí.

Luego activá la autenticación en dos pasos y revisá si existen sesiones o dispositivos desconocidos conectados a la cuenta. La FTC recomienda actuar rápidamente, crear una contraseña nueva y reemplazarla también en cualquier otro sitio donde se haya reutilizado.

🔴 Ingresé datos bancarios o realicé un pago

Contactá cuanto antes a tu banco, tarjeta o medio de pago.

Informá que se trató de una operación fraudulenta y consultá si es posible bloquear la tarjeta, detener el movimiento o desconocer la transacción.

Cuanto antes se informe, mayores serán las posibilidades de limitar el daño.

🦠 Descargué una aplicación o archivo

Desinstalá la aplicación sospechosa, revisá los permisos concedidos y ejecutá una comprobación de seguridad.

También es recomendable actualizar el sistema y cambiar las contraseñas importantes desde otro dispositivo confiable.

La FTC aconseja actualizar el software de seguridad, realizar un análisis y eliminar cualquier elemento identificado como malicioso.

🚦 Semáforo INFOX para códigos QR

🟢 Probablemente confiable

El código está dentro de una aplicación oficial.

Esperábamos recibirlo.

La dirección pertenece claramente a la empresa.

No solicita información innecesaria.

Podemos verificarlo por otra vía.

🟡 Requiere atención

Está impreso en un espacio público.

Utiliza una dirección acortada.

Nos lleva directamente a iniciar sesión.

Solicita descargar una aplicación.

No sabemos quién lo publicó.

🔴 Mejor no continuar

Llegó inesperadamente.

Promete un premio.

Amenaza con una multa o bloqueo inmediato.

Solicita contraseñas, números de tarjeta o transferencias.

El código parece pegado encima de otro.

La dirección contiene errores o nombres extraños.

🧠 INFOX opina

El código QR no es peligroso por naturaleza.

Es solamente una puerta.

El problema aparece cuando la cruzamos sin mirar hacia dónde conduce.

Nos acostumbramos tanto a escanear que convertimos una decisión de seguridad en un movimiento automático de la cámara.

Y ahí es donde el delincuente gana ventaja.

No hace falta vivir con miedo ni declarar la guerra a cada cuadrado blanco y negro.

Alcanza con recuperar un hábito que la velocidad digital nos hizo perder:

Detenernos cinco segundos antes de continuar.

Puede parecer poco.

Pero en seguridad informática, cinco segundos de atención pueden ahorrarnos muchas horas de problemas.